Группе администраторов домена отказано в доступе к диску d:
У меня новый Active Directory (CORP-AD) установка под управлением Windows 2008R2. У меня есть контроллер домена (PDC01) и рядовой сервер (ME01).
Рядовой сервер имеет C: и D: водить машину.
Частью нашей стандартной сборки является удаление всех разрешений из корня D: диск кроме:
SYSTEM (Full Control) Administrators (Full Control)
Я создал нового пользователя домена ADMIN01 и предоставил ему членство в Domain Admins группа.
Domain Admins является членом локального Administrators группа.
Когда я вхожу в систему (через RDP) на рядовой сервер ME01 как пользователь домена ADMIN01 этот пользователь не может получить доступ к D: водить машину. Затем я попытался добавить Domain Admins группа с полным контролем до корня D: диск, но мой ADMIN01 пользователь по-прежнему не может получить доступ к D: водить машину:
Если я войду в ME01 как администратор локального компьютера у меня нет проблем с доступом к D: водить вообще.
Я обнаружил этот вопрос, который описывает более или менее ту же проблему:
Почему я не могу просматривать свой диск D :, даже если я нахожусь в группе администраторов?
Ответ правильно говорит о том, что это проблема с повышением привилегий UAC, но меня озадачивает это утверждение, в частности жирная часть:
Вы можете изменить это поведение с помощью групповой политики однако имейте в виду, что значение по умолчанию установлено намеренно - конкретная политика, которую вы хотите изменить, - «Контроль учетных записей пользователей: запускать всех администраторов в режиме утверждения администратором» - вы можете найти подробную информацию о том, как это сделать, в этой статье MSDN.
Это означает, что «Контроль учетных записей пользователей: запускать всех администраторов в режиме утверждения администратором» отключать не надо?
Если он включен, я не получаю вызов UAC с кнопкой «Продолжить» + значок щита, мне просто отказывают в доступе к диску. Это нормально?
Причина, хотя я не понимаю почему, похоже, вызвана удалением встроенного Everyone группа из D: разрешения на диск.
Я задала новый вопрос:
Почему удаление группы ВСЕ не позволяет администраторам домена получить доступ к диску?
Вы действительно полностью вышли из системы как пользователь ADMIN01 после того, как вы изменили членство в группе и добавили пользователя в группу администраторов домена?
Вы много говорили об удаленном рабочем столе, возможно, сеанс для пользователя был просто отключен, и изменения членства в группе не вступают в силу, пока пользователь полностью не выйдет из системы и не войдет в систему (в Windows также возможно открыть два сеанса в то же время).
Имеет ли пользователь ADMIN01 доступ к другим инструментам администрирования, к которым обычно имеют доступ только администраторы домена? Это исключит, является ли это проблемой ACL на диске или проблемой членства / разрешения группы.
Похоже, кто-то предоставил Администратор не администраторы полный контроль.
Похоже, что это не проблема UAC, но кто-то испортил разрешения на уровне диска.
Я бы вошел в систему как локальный администратор, а затем сравнил разрешения, которые установлены на дисках C: и D :, готов поспорить, что администраторы домена либо были удалены, либо были явно запрещены.